Remote ID ve VPN na iPhonu: co toto pole skutečně znamená

Jste v Nastavení, přidáváte konfiguraci IKEv2 a dvě pole chtějí text, který vám nikdo nedal: Remote ID a Local ID. Ani jedno není vaše uživatelské jméno a ani jedno není druhá kopie pole Server. Remote ID je identita, kterou musí brána prokázat vašemu iPhonu; Local ID je identita, kterou váš iPhone tvrdí bráně. Spletete-li kterékoli, tunel zemře poté, co server už odpověděl, a proto porucha vypadá jako problém s heslem, ale není jím.

Kde pole v iOS jsou

Otevřete Nastavení > Obecné > VPN a správa zařízení > VPN a přidejte konfiguraci IKEv2. V části Ověřování zvolíte Uživatelské jméno nebo Certifikát, a teprve potom se Remote ID a Local ID objeví jako pole volného textu. Jsou to identifikátory, ne adresy: iOS je nese ve výměně IKE_AUTH, kde IKEv2 nazývá identitu iniciátora IDi a identitu protistrany IDr.

Po uložení iOS konfiguraci složí do jednoho řádku a přestane hodnoty zobrazovat. Klepněte na tlačítko informací nebo profil znovu otevřete, než usoudíte, že jsou pole prázdná. Konfigurace zaslaná přes MDM je může zcela zešednout, což mění to, kdo může problém opravit.

Remote ID je jméno brány

To je hodnota, kterou váš iPhone očekává, že server prokáže. Při ověřování certifikátem se porovnává se jménem v certifikátu serveru, obvykle se subject nebo položkou subjectAltName. Pokud je certifikát vydán pro vpn.example.com, je toto jméno hostitele Remote ID, i když se ke stroji dostanete přes holou IP adresu.

Tento nesoulad je klasická porucha: pakety dorazí, server odpoví, a spojení přesto zkolabuje, protože identita v certifikátu neodpovídá tomu, co profil vyžadoval. Nasměrování pole Server na surovou IP nepomůže a na mnoha bránách server prostě přestane odpovídat na identitu, kterou nedokáže spárovat.

Brána má odpovídající nastavení. Server strongSwan posílá vlastní identitu pomocí leftid a může omezit identitu klienta pomocí rightid; pokud se obě strany na řetězci neshodnou, IKE_AUTH selže v obou směrech. Zeptejte se operátora, pro kterou identitu byl certifikát vydán, místo abyste opisovali URL z adresního řádku.

Apple dokumentuje klíče užitečného zatížení jako RemoteIdentifier a LocalIdentifier v referenci nastavení IKEv2. Oba jsou obyčejné řetězce, takže na velikosti písmen a koncovou mezeru může záležet.

Local ID je to, co váš iPhone tvrdí

Při ověřování uživatelským jménem kontroluje jméno a heslo EAP a Local ID je samostatná identita IKE, kterou některé brány také vynucují. Brána může vyžadovat, aby Local ID odpovídalo uživatelskému jménu, bylo e-mailovou adresou nebo odpovídalo položce v její politice připojení; jiné ho ignorují. Nechat ho prázdné je bezpečné jen tehdy, když to operátor řekne.

Při ověřování certifikátem má Local ID odpovídat identitě, kterou brána pro tento klientský certifikát přijímá, často jménu certifikátu nebo hodnotě navázané na záznam zařízení. Zkopírováním profilu kolegy zkopírujete i jeho identitu. V nejlepším případě brána zaloguje špatné zařízení, v nejhorším vás politika pro jednotlivá zařízení odmítne.

Past je předpokládat, že prázdné znamená žádnou identitu. Nevyplňujte prázdné pole svou e-mailovou adresou jen proto, že vypadá nedokončené. Potvrďte zamýšlenou hodnotu a zadejte ji přesně tak, jak byla dána.

Pětiminutová kontrola před uložením

Projděte je popořadě; první krok, který selže, je ten k opravě.

1. Získejte od operátora tři řetězce: jméno v certifikátu serveru, očekávané Local ID a metodu ověřování.
2. Slaďte metodu ověřování. Remote ID a Local ID nenahrazují uživatelské jméno a heslo a profil s certifikátem heslo nepřijme.
3. Zadejte hodnoty přesně, včetně velikosti písmen, bez koncové mezery.
4. Nechte ověřování certifikátů zapnuté. Instalace nesouvisejícího kořenového certifikátu, aby varování ztichlo, nesoulad jmen skryje, místo aby ho opravila.
5. Testujte na mobilních datech, ne na kancelářské Wi-Fi, aby se klientský portál nebo rozdělený DNS nevydávaly za problém identity.

Čtěte tabulku shora. Časový limit v řádku Server znamená, že pole identity nebyla nikdy testována, tak se tam zastavte. Chyba, která se objeví až po odpovědi serveru, je téměř vždy nesoulad Remote ID nebo Local ID.

Chyby, které ukazují na špatné pole

Zpráva jako "User authentication failed" se týká přihlašovacích údajů nebo EAP, ne Remote ID. Varování certifikátu se týká jména v certifikátu, a tam se Remote ID s polem Server potkávají. "The VPN server did not respond" obvykle znamená, že UDP 500 a 4500 se nikdy nedokončily nebo že selhal NAT traversal, a žádná identita se neporovnávala.

Na straně brány vypadají selhání identity jinak: peer je odmítnut během IKE_AUTH, nebo log uvede ID, které klient poslal, a řekne, že neodpovídá žádnému připojení. Ten řádek v logu je nejrychlejší způsob, jak spor vyřešit, protože ukazuje přesný řetězec, který telefon poslal.

Reset hesla neopraví očekávanou identitu serveru a změna Remote ID neopraví špatné heslo. Nejprve oddělte fázi, potom upravte pole, které k ní patří.

Když je profil spravovaný

Jsou-li pole šedá, konfigurace přišla z MDM a telefon není místo, kde to opravit. Užitečné zatížení VPN nese identifikátory, takže správná změna je v profilu na serveru správy a poté jeho přeinstalování v zařízení.

V Nastavení > Obecné > VPN a správa zařízení zkontrolujte, zda je profil spravovaný a kdo ho podepsal. Pokud ho nemůžete odebrat, nemůžete identifikátory upravit lokálně, a druhý lokální profil vytvoří jen konfliktní konfiguraci.

Než Nastavení zavřete, zapište si tři řetězce, které jste zadali, a odkud pocházejí. Až příště tunel selže, porovnejte přijaté ID z logu brány s touto poznámkou: pokud se liší, díváte se na pole, ne na heslo.